Lo que te va a pedir tu ciberseguro cuando renueves
Cuando renueves el ciberseguro, la aseguradora te va a pasar un cuestionario, y casi todos preguntan por lo mismo: si todas las cuentas tienen doble factor, si hay copias de seguridad fuera de la oficina y comprobadas, y si los equipos y los servidores tienen un antivirus gestionado. Lo importante no es rellenarlo rápido. Es que lo que contestes sea verdad, porque el día del siniestro es exactamente lo que van a comprobar.
Cada vez más clientes nos piden ayuda con ese papel, y la conversación suele empezar igual: «esto es un trámite, ¿no?». No lo es. Es una declaración firmada de cómo tienes tu informática, y la póliza se apoya en ella.
El cuestionario ya no es un trámite
Hace unos años bastaba con decir que tenías antivirus y copias. Hoy las aseguradoras han pagado suficientes secuestros de datos como para saber exactamente qué separa a una empresa que se recupera en un día de una que se queda parada una semana. Y preguntan por eso, con bastante detalle.
El problema es que quien rellena el cuestionario suele ser el gerente o alguien de administración, que contesta de buena fe lo que cree que hay. Y lo que cree que hay no siempre coincide con lo que hay.
Lo que les preguntaban a nuestros clientes
Estas son las preguntas que nos hemos encontrado al ayudar a clientes con su renovación. Cambia la redacción de una aseguradora a otra, pero el fondo se repite:
- ¿Tienen doble factor todas las cuentas de Microsoft? Todas, no las del gerente y la de administración. Todas.
- ¿Tiene copia de seguridad externa y consolidada? Es decir, fuera de la oficina, aislada de tu red y hecha con un sistema, no un disco que alguien se lleva a casa cuando se acuerda.
- ¿Sabe que la copia funciona? No si existe: si se ha probado a restaurar. Esta es la que más silencios provoca.
- ¿Tienen todos los equipos y servidores un antivirus gestionado? Con una consola central, alguien revisando los avisos y, cada vez más, detección y respuesta en los equipos, lo que en el sector se llama EDR.
- ¿Se aplican las actualizaciones de seguridad? Con qué frecuencia y quién lo controla.
- ¿Ha recibido la plantilla formación en seguridad? Sobre todo para reconocer correos fraudulentos.
Las tres primeras son las que más se repiten en lo que vemos. Las otras aparecen en muchos cuestionarios, con más o menos detalle.
La que más falla: el doble factor
De todo el cuestionario, lo que más suele faltar para poder contestar «sí» con la conciencia tranquila es el doble factor. Y casi nunca porque no exista, sino porque no está obligado.
Lo que nos encontramos una y otra vez es esto: el doble factor está disponible, algunas personas lo activaron en su día y otras no. El gerente lo tiene, administración lo tiene, y el comercial que entró hace un año, la cuenta genérica de facturas y el usuario del becario que se fue en junio, no. A efectos del cuestionario, eso es un «no».
En el cuestionario del ciberseguro, «casi todos» se escribe «no».
Y no es un tecnicismo. Una cuenta sin doble factor es justo la que se usa para entrar: alguien consigue la contraseña con un correo falso, entra en el buzón, y desde ahí empieza todo. Da igual que las otras diecinueve cuentas estuvieran protegidas.
La buena noticia es que se arregla sin comprar nada. En Microsoft 365 se puede obligar a que todas las cuentas usen doble factor y comprobar quién lo tiene de verdad registrado. Es de las primeras cosas que miramos al revisar una empresa, y con la monitorización de Microsoft 365 lo seguimos vigilando después, cuenta a cuenta.
El caso que explica por qué importa
El siniestro que no se cubrió. Conocemos el caso de una empresa que sufrió un secuestro de datos y el seguro no lo cubrió. El motivo: el servidor principal no tenía antivirus con detección y respuesta. Los equipos sí estaban protegidos, pero la máquina más importante de la empresa, la que tenía los datos y el programa de gestión, no. Y el ataque entró precisamente por ahí.
Es un patrón que vemos a menudo, aunque normalmente sin un final tan caro: los ordenadores de la oficina están bien cubiertos y el servidor se queda fuera, porque «el servidor no se usa para navegar» o porque la licencia se compró para los puestos. El atacante no tiene esa manía. Va a donde están los datos.
Si quieres ver qué aporta un antivirus gestionado frente al que trae Windows, lo contamos en detalle en esta entrada, y los precios están en la página de seguridad de equipos.
Antes de firmar la renovación, comprueba esto
No hace falta ser técnico. Coge el cuestionario y, antes de contestar, pide a quien lleve tu informática que te enseñe, no que te diga:
- La lista de cuentas de Microsoft y cuáles tienen doble factor. Incluidas las genéricas y las de gente que ya no está. Si alguna no lo tiene, o se activa o se borra.
- Dónde está la copia y cuándo se restauró por última vez. Con fecha. «Se hace todas las noches» no contesta a la pregunta.
- Qué equipos y servidores tienen antivirus gestionado. Todos, servidor incluido. Mira la consola, no la factura.
- El estado de las actualizaciones. Qué equipos llevan semanas sin actualizarse.
- Si hay algo escrito sobre qué hacer ante un incidente. Aunque sea una página: a quién se llama, quién decide y en qué orden.
Si algo no está, lo sensato es arreglarlo antes de firmar, no contestar «sí» y confiar en que no pase nada. Y si no da tiempo, contestar la verdad y hablarlo con tu corredor, que suele tener más margen del que parece.
Cómo lo hacemos con nuestros clientes
Cuando a un cliente le llega el cuestionario, lo rellenamos con él. Revisamos cada pregunta contra lo que hay de verdad en sus sistemas, le decimos qué puede contestar con seguridad y qué conviene arreglar antes, y le preparamos la documentación que pida la aseguradora. No se cobra aparte: entra en la cuota del servicio.
Si no eres cliente y quieres saber cómo quedarías ante ese cuestionario, es parte de la auditoría gratuita: revisamos 243 puntos, entre ellos todos los que preguntan las aseguradoras, y te damos el informe, contrates o no.
Preguntas frecuentes
¿Me pueden negar la indemnización por haber contestado mal el cuestionario?
Puede pasar. El cuestionario forma parte de la base sobre la que la aseguradora calcula el riesgo, y si lo declarado no se corresponde con la realidad, le das motivos para reducir o rechazar el pago. Hasta dónde llega depende de cada póliza, así que conviene leer las condiciones con tu corredor. Lo seguro es no contestar «sí» a nada que no puedas enseñar.
¿Por qué todas las aseguradoras piden doble factor?
Porque una gran parte de los ataques empieza con una contraseña robada, normalmente con un correo falso. Con doble factor, la contraseña sola no basta para entrar, y eso corta el ataque en el primer paso. Es barato, es rápido de poner y protege mucho, por eso es lo primero que preguntan.
¿Vale el antivirus que trae Windows para el cuestionario?
Depende de cómo esté redactada la pregunta, pero cada vez más aseguradoras piden un antivirus gestionado, con consola central y detección y respuesta en los equipos, y en todos, servidores incluidos. El antivirus de Windows suelto, sin nadie revisando los avisos, normalmente no cumple esa descripción.
¿Cuánto cuesta que me ayudéis con el cuestionario del ciberseguro?
Para nuestros clientes no tiene coste aparte: rellenarlo con ellos y preparar la documentación entra en la cuota del servicio. Si no eres cliente, la auditoría gratuita revisa los puntos que preguntan las aseguradoras y te dice qué tienes cubierto y qué no.
